Journaux et quarantaine Microsoft Defender

Présentation

Microsoft Defender Antivirus (anciennement Windows Defender) est le moteur antimalware intégré à Windows 8 et aux versions suivantes. En plus de son journal d'événements, il conserve des journaux de support en texte brut (MPLog), un fichier DetectionHistory par détection et une quarantaine chiffrée qui contient toujours le malware d'origine. Comme Defender est présent sur presque tous les hôtes Windows, ces fichiers indiquent souvent ce que l'attaquant a déposé, quand, depuis quel processus, et s'il a d'abord tenté de désactiver le produit.

Emplacement

Tous ces dossiers sont réservés aux administrateurs ou à SYSTEM.

Ce que l'artefact prouve

• Présence et exécution d'un malware : 1116/1117 donnent le nom de la menace, le chemin du fichier, le processus qui l'a manipulé et l'utilisateur. Une détection de source AMSI désigne un contenu de script, souvent PowerShell.
• Existence de fichiers et empreintes : les lignes MPLog enregistrent des fichiers analysés avec leur SHA-1/SHA-256 et des processus avec leur nom d'image, même pour des fichiers que Defender n'a pas signalés.
• L'échantillon lui-même : la quarantaine conserve le fichier d'origine complet, avec ses horodatages, son descripteur de sécurité et son flux Zone.Identifier.
• Contournement des défenses : 5001, 5007, 5010/5012, 5013 et de nouvelles clés d'exclusion montrent la protection en temps réel désactivée ou des chemins exclus.
• L'artefact ne prouve pas qu'un fichier détecté a été exécuté : beaucoup de détections ont lieu à l'écriture ou au téléchargement. Vérifiez la source de détection et corrélez avec des artefacts d'exécution.

Champs clés

Champs des 1116/1117 : Threat Name, Severity Name, Category Name, Path, Detection Origin, Detection Source (Real-Time, User, System, AMSI, IOAV...), Detection User, Process Name, Action Name, versions des signatures et du moteur. Dans MPLog, cherchez les lignes ProcessImageName (nom du processus, nombre de fichiers analysés, impact estimé), les lignes SDN (chemin du fichier avec SHA-1 et SHA-256) et les lignes DETECTIONEVENT. Les fichiers DetectionHistory contiennent le nom de la menace, le chemin du fichier, l'utilisateur, le processus, la taille et les empreintes MD5/SHA-1/SHA-256.

Horodatages

Rétention et effacement

• Le journal Operational tourne à sa taille maximale ; sur un hôte bruyant, il peut ne couvrir que quelques semaines.
• Defender fait tourner les fichiers MPLog : l'activité ancienne disparaît avec le temps, collectez-les tôt.
• Les éléments en quarantaine sont supprimés après un délai de conservation (réglable par stratégie) ou par une action de l'utilisateur ou de l'attaquant, ce qui produit un 1011 ; l'effacement de l'historique des détections produit un 1013.
• Sabotages classiques : Set-MpPreference -DisableRealtimeMonitoring $true, Add-MpPreference -ExclusionPath, MpCmdRun.exe -RemoveDefinitions -All, arrêt du service ou modification des clés de stratégie. Quand la protection contre les falsifications est active, elle bloque une bonne partie de ces actions et journalise un 5013. Les tentatives survivent souvent dans l'historique PowerShell et dans les événements 5007, même quand d'autres traces ont été supprimées.

Collecte

• Cibles KAPE : WindowsDefender (journal Operational, dossiers Support, MpCmdRun.log, DetectionHistory, quarantaine, Detections.log) et WinDefendDetectionHist (DetectionHistory seul).
• Velociraptor (Windows.Triage.Targets) : WindowsDefender, WinDefendDetectionHist.
• Commandes natives (élevées) : copiez les dossiers en mode sauvegarde, exportez le journal et interrogez l'état courant.

robocopy "C:\ProgramData\Microsoft\Windows Defender" E:\case\Defender /E /COPY:DAT /DCOPY:T /B /XD "Definition Updates"
wevtutil epl "Microsoft-Windows-Windows Defender/Operational" E:\case\Defender-Operational.evtx
Get-MpThreatDetection | Export-Csv E:\case\mpthreatdetection.csv -NoTypeInformation
Get-MpPreference | Select-Object Exclusion*, DisableRealtimeMonitoring
reg query "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions" /s

Une fois déchiffrés, les fichiers de quarantaine redeviennent des malwares actifs : manipulez-les dans un laboratoire isolé.

Outils d'analyse

• EvtxECmd (Eric Zimmerman) : maps pour les événements Defender, dont 1116, 1117, 5001 et 5007.
• mplog_parser (Intrinsec, open source) : convertit les fichiers MPLog-* en CSV.
• DHParser (open source) : analyse les fichiers DetectionHistory et produit du JSON.
• Dissect (Fox-IT, open source) : defender.quarantine liste les entrées de quarantaine, defender.recover déchiffre les fichiers, defender.mplog et defender.exclusions analysent les journaux et les exclusions.
• Velociraptor : artefacts communautaires Windows.Applications.DefenderDHParser et Windows.Applications.DefenderHistory sur l'artifact exchange.

Conseils d'investigation

• Construisez d'abord une chronologie des détections à partir des 1116/1117, puis enrichissez chaque occurrence avec le fichier DetectionHistory et l'entrée de quarantaine de la même menace.
• Récupérez l'échantillon en quarantaine et lisez son flux Zone.Identifier : la marque du Web donne l'URL de téléchargement (voir Zone.Identifier).
• Considérez tout 5001, 5010, 5012 ou 5007 ajoutant une exclusion autour de la fenêtre d'intrusion comme de l'anti-forensique, et retrouvez la commande responsable dans les journaux PowerShell.
• Cherchez des noms d'outils et des chemins inhabituels dans MPLog même sans détection : les lignes SDN et ProcessImageName peuvent prouver qu'un fichier a existé ou qu'un processus a tourné.
• Rapprochez les SHA-1 de MPLog ou de DetectionHistory de ceux d'Amcache et du TargetAppId des rapports WER.
• Une détection avec l'action « Allow » ou une action en échec (1008/1118) signifie que le malware est peut-être toujours actif.